Alojamento
O HONESTAS funciona num de dois locais, com o mesmo software em ambos.
- A nossa cloud na UE. Centros de dados na Irlanda. Os seus dados são armazenados e tratados na União Europeia, e escolhe onde cada tipo de dados é conservado: na nossa cloud na UE ou no seu próprio centro de dados.
- O seu próprio centro de dados. O HONESTAS instalado no seu próprio hardware, protegido pelos seus próprios controlos de rede. As atualizações chegam sob a forma de pacotes assinados que aprova antes de serem executados.
Em ambos os casos, os registos selados são gravados num repositório de registos fora da instalação, com um selo temporal externo, para que o comprometimento de uma instalação não permita reescrever o seu histórico.
Encriptação e chaves
- Os dados são encriptados em trânsito e em repouso, com uma chave distinta para cada empresa.
- Pode guardar as suas próprias chaves no seu próprio cofre de chaves. Se retirar a chave, os dados que esta protege deixam de poder ser lidos.
- As chaves que selam os registos são mantidas separadas das chaves que protegem os dados e nunca estão disponíveis para as pessoas que assinam decisões.
- As chamadas de IA são executadas nas suas próprias contas e chaves de fornecedores de modelos, ao abrigo dos seus próprios contratos. Cada chamada é registada com a chave, o modelo e a versão utilizados.
- Os números de cartões nunca chegam ao HONESTAS. Os clientes introduzem-nos nos campos do próprio prestador de serviços de pagamento.
Isolamento
Cada pedido no HONESTAS identifica três elementos: a empresa a que pertence, a quem pertencem os dados e a unidade que faz o pedido. Um pedido que não identifique os três elementos é recusado com o código SCOPE_REFUSED, e a recusa fica registada.
- Entre empresas. Cada seguradora, corretor, MGA ou TPA tem o seu próprio espaço e as suas próprias chaves. Numa sala de colocação partilhada, a barreira entre mercados é verificada antes do envio de cada mensagem.
- Entre proprietários. Um TPA ou corretor que trabalhe para vários clientes mantém os registos de cada cliente em nome desse mesmo cliente.
- Entre unidades. Equipas como a unidade de investigação especial podem ser isoladas dentro de uma mesma empresa.
Cada ficheiro carregado é aberto numa sandbox sem acesso à rede, lido e descartado.
Acesso
- As pessoas iniciam sessão através do seu próprio fornecedor de identidade via SAML ou OIDC, com as contas sincronizadas via SCIM. As assinaturas de decisões utilizam chaves de acesso (passkeys) no dispositivo da própria pessoa.
- Os perfis de função definem o que cada pessoa pode ver e fazer. Alterações de risco, como um novo limite de poderes de subscrição ou uma nova versão de modelo, aguardam a validação de uma segunda pessoa.
- Numa emergência, pode ser concedido acesso total a um administrador durante um curto período, sob a supervisão de uma segunda pessoa e com cada passo registado.
- O acesso por parte da equipa da Adverant é limitado, aprovado e registado.
Registo de atividades
Cada início de sessão, leitura, alteração, chamada de IA e ação de administrador é registado com a indicação de quem, o quê, quando e a partir de onde. Os registos de atividade (logs) são conservados fora da sua instalação, não podem ser editados e são mantidos durante o período que definir. Pode enviá-los para as suas próprias ferramentas de segurança através da API de eventos.
Testes
- Equipas de testes independentes testam o HONESTAS em busca de vulnerabilidades. Corrigimos as falhas detetadas por ordem de gravidade.
- Cada compilação (build) é assinada e o software que contém é verificado quanto a vulnerabilidades conhecidas antes de ser disponibilizado.
- Os controlos que recusam decisões, o selo e as barreiras entre empresas são testados em cada lançamento.
Incidentes
Se um incidente afetar os seus dados, informamos o seu contacto de segurança designado sem demora injustificada e seguimos o plano previsto no seu contrato. Fornecemos-lhe uma cronologia desde o primeiro alerta e os factos de que necessita para cumprir os seus próprios deveres de notificação ao abrigo do DORA e do RGPD.
Comunicar um problema
Envie um e-mail para security@honestas.ai. Inclua, por favor:
- o que encontrou e onde (o endereço, ecrã ou componente);
- os passos para o reproduzir, com qualquer código de prova de conceito ou capturas de ecrã;
- o que um atacante poderia fazer com isso, na sua perspetiva;
- como contactá-lo e se gostaria de receber o devido reconhecimento.
Escreva em inglês, se possível. Um relatório claro é mais útil do que vários relatórios curtos. Por favor, não inclua dados pessoais com que se tenha deparado; em vez disso, descreva-os. Corrigimos primeiro os problemas mais graves, avisamo-lo quando a correção for implementada e acordamos consigo quando os detalhes podem ser partilhados.
O que está no âmbito
- honestas.ai e os seus subdomínios, incluindo a consola HONESTAS;
- o HONESTAS tal como o executamos na nossa cloud na UE, incluindo o início de sessão, o repositório de registos e o verificador de registos;
- as aplicações HONESTAS para iOS e Android, o SDK de loja e a API pública.
Fora do âmbito: ataques dirigidos à nossa equipa (phishing, engenharia social), ataques físicos, negação de serviço (DoS), conclusões que exijam um dispositivo já comprometido e relatórios de scanners automatizados sem impacto demonstrado. Uma instalação no centro de dados próprio de um cliente pertence a esse cliente; por favor, comunique os problemas aí detetados tanto ao cliente como a nós.
Regras para investigadores
- Utilize apenas contas e dados que sejam seus ou que lhe tenham sido facultados para testes.
- Faça apenas o mínimo necessário para provar o problema. Pare e informe-nos assim que alcançar dados de outra empresa.
- Não altere nem elimine dados, não degrade o serviço nem mantenha o acesso durante mais tempo do que o necessário.
- Mantenha os detalhes privados até termos acordado uma data de divulgação.
Porto seguro
Se agir de boa-fé e cumprir estas regras, trataremos a sua investigação como autorizada. Não intentaremos ações judiciais contra si nem o denunciaremos às autoridades por esse motivo e, se terceiros o fizerem, deixaremos claro que agiu com a nossa permissão. Isto não abrange ações que violem a lei de formas que estas regras não possam autorizar.
Divulgação
Preferimos publicar os detalhes depois de uma correção estar disponível para todos os que dela necessitam. Acordaremos o momento oportuno consigo e não lhe pediremos que mantenha sigilo durante mais tempo do que o necessário para proteger os nossos clientes. Caso não estejamos de acordo, explicar-lhe-emos o motivo.
Se for cliente, comunique qualquer suspeita de incidente através do contacto de segurança indicado no seu contrato ou através do suporte dentro do HONESTAS, para que possamos seguir o seu plano de incidentes. Para saber onde residem os seus dados e as normas que mapeamos, visite o centro de confiança.
Última atualização a 23 de outubro de 2026